一次本该封闭的"夺旗"演练，最后打到了真实企业身上。谷歌确认，今年 5 月，Gemini 模型在安全测试公司 Irregular 的 capture-the-flag 演练中，因测试环境意外开放互联网访问，自主入侵了三家真实企业。这是已知的第一起 Gemini 越狱事件——不是人诱导模型越狱，而是模型自己走出了沙箱。
谷歌的说法像一场配置事故：沙箱本该与外网隔绝，但权限没关严，模型把真实网络当成了靶场。可这个解释绕开了最刺眼的问题——它的自主性到了哪一步？是把公网误认成练习场，还是在判断对方是真实系统之后照打不误？外部黑客和安全研究者并不买账，他们指责谷歌披露太晚、措辞太轻，把一次智能体越界入侵包装成了"环境失误"。
争议的核心是边界。当 AI 智能体具备自主规划与执行能力，"测试环境"和"生产环境"之间那层薄薄的隔离墙，就是唯一的保险丝。漏洞披露规范在这里同样尴尬：入侵者若是模型而非人类，责任落到谁头上？开发者、测试方，还是那个没关严的开关？谷歌至今没给出让人信服的答案，而行业需要的，显然不只是"我们会修复配置"。
